誤送信: 見落とされがちなデータセキュリティの脅威
Verizonの2022年データ侵害調査報告書（DBIR）によると、2021年に調査されたセキュリティインシデントの22%がデータ侵害に至りました。この報告書で特に注目されるデータ侵害の一つが「誤送信」です。誤送信とは、ユーザーが個人識別情報（PII）や保護対象保健情報（PHI）を意図しない受信者にメールや他の通信チャネルを通じて送信してしまうことを指します。
誤送信は715件のインシデントに関与し、そのうち708件がデータ侵害に至りました。これは、すべてのデータ侵害の13.5%が、誰かが誤って機密情報を誤った受信者に送信したことに関連していることを意味します。
誤送信とは何か？
誤送信はデータ侵害です。悪意の有無は関係ありません。許可されたユーザー向けの機密情報が許可されていない受信者に届けられた時点で、損害は発生しています。残念ながら、多くの人がリモートで働いている現在、誤送信のリスクはこれまで以上に高まっています。なぜでしょうか？
まず、従業員はもはや同じオフィスにいることが少なくなり、メールやコラボレーションツールを通じてコミュニケーションを取る必要があります。次に、多くの人が通知過多に悩まされています。TeamsやSlack、メール、テキストの間で、従業員が圧倒され、誤ってデータを誤った人に共有してしまうのは簡単です。
おそらくあなたにもすでに起こっている
業界によっては、誤送信がより発生しやすいものがあります。例えば、金融サービス業界の従業員は、Verizonの2022年DBIRによると、機密情報を誤って共有する可能性が3倍高いとされています。
金融サービス企業や、より広くプロフェッショナルサービス企業は、通常、大規模な顧客基盤を持ち、したがって広範かつ頻繁な顧客コミュニケーションを行っています。顧客関係やコンサルティングの役割を持つ従業員が、毎日クライアント、同僚、パートナーに100通ものメールを送信することは珍しくありません。
2021年、医療業界は他の主要業界を誤送信インシデントでリードしましたが、実際のインシデント数は過去数年に比べて減少しました。対照的に、同じ期間にこれらの他の業界では誤送信が増加しました。
優れた顧客サービスを提供しようと急ぐ中で、これらの従業員は時折、メールや共有フォルダを通じて誤って機密情報を誤った受信者に送信してしまいます。メールキャッシュと自動入力は、残念ながら誤送信の可能性を大幅に高めます。
従業員がメールの「宛先」ボックスやファイル共有アプリケーションの「共有先」に「Jan」と入力し、Jan Vincentに契約書を送るつもりが、Jan Valentinoが自動入力されてしまうことがあります。名前が非常に似ているため、見落としやすく、簡単ですが高くつくミスです。
機密情報の誤送信が発生すると、通常はデータ侵害につながります。データ侵害は、組織に数百万ドルの収益損失や訴訟費用をもたらす可能性があります。さらに悪いことに、顧客の離反やブランドの侵食が通常続きます。
誤送信のリスクを軽減するためのベストプラクティス
以下のプラクティスとソリューションを適用することで、従業員は誤送信に関連するデータ侵害のリスクを軽減できます：
企業のセキュリティポリシーを更新する
どの組織のセキュリティポリシーも、重要なデータの取り扱い方法、誰がアクセスできるか、外部とどのように共有するか（必要な場合）を明確に定めるべきです。
例えば、データ損失防止（DLP）ソリューションの使用は非常に重要です。DLPは技術だけでなく、データ漏洩を防ぐためのポリシーや手順も含んでおり、誤送信を含むデータ漏洩を防ぎます。組織が窃盗や破壊行為などの他の内部脅威を軽減するのに役立ちます。また、組織が重要なファイルの動きを監視し、データプライバシー規制や規制基準へのコンプライアンスを示すのに役立ちます。
最小特権の原則を使用する
ゼロトラスト・セキュリティを使用してITシステムを構築、維持、利用することは、機密コンテンツを不正アクセスから保護する非常に安全なアプローチです。
ゼロトラスト・セキュリティは、システムユーザーが機密情報を保持または処理するシステムにアクセスする前に、認証、承認、または継続的な検証を必要とする設計プラクティスとして大まかに定義できます。アクセスは特権的であり、ケースごとに付与されます。ゼロトラスト・セキュリティは、組織のPII、PHI、または知的財産（IP）への不正アクセスのリスクを大幅に軽減します。
定期的なトレーニングを提供する
技術は常に進化しています。残念ながら、サイバー犯罪も同様です。したがって、組織とその従業員は、競争力を維持し、組織の知的財産を保護するために、両方の分野の変化に対応し続ける必要があります。
人間はデータ保護の最も弱いリンクである必要はありません。従業員にデータストレージとファイル転送管理ソリューションの定期的なトレーニングを提供することで、従業員は進化するシステムや技術に対応し続け、誤送信のような不正アクセスのリスクを最小限に抑えることができます。
マネージドファイル転送を検討する
マネージドファイル転送（MFT）は、他のファイル共有メカニズムの多くの機能とプロトコルを1つのプラットフォームに統合し、組織内または組織間での安全で効率的かつ法的に準拠したファイル転送を実現します。
さらに、MFTプラットフォームは、医療保険の相互運用性と説明責任に関する法律（HIPAA）、EU一般データ保護規則（GDPR）、PCIデータセキュリティ基準（PCI DSS）、グラム・リーチ・ブライリー法（GLBA）などの関連規制へのコンプライアンスを確保するように設計されています。組織がファイル転送を自動化することで、誤送信のような人為的なエラーのリスクを最小限に抑え、データ侵害を防ぐことができます。
Kiteworksで誤送信関連のデータ漏洩を防ぐ
組織は、Kiteworksプライベートコンテンツネットワーク（PCN）を使用してPII、PHI、IP、またはその他の機密情報を共有する際に、誤送信のリスクを軽減します。
従業員がKiteworksのセキュアメールを使用してBill SmithersではなくBill Smithに誤ってファイルを送信した場合、従業員はBillがアクセスする前にファイルを取り消すことができます。複数のファイルが送信された場合、従業員は削除するファイルを選択できます。
従業員がKiteworksを使用して意図しない受信者にファイルを誤って送信した場合、数回のクリックで問題のファイルを取り消し、削除することができます。（出典：Kiteworks）
Kiteworksユーザーはその後、ファイル削除を承認するよう促されます。 （出典：Kiteworks）
Kiteworksのセキュアファイル共有は、ユーザーに機密コンテンツへのアクセスを設定および変更する権限を与えます。従業員がMichelle JohnsonではなくMichael Johnsonを、保留中の合併に関する機密ファイルを含むフォルダへのアクセスに招待した場合、従業員はMichaelの権限を取り消し、フォルダ内のファイルへのアクセスを防ぐことができます。
最終的な考え
Kiteworks PCNは、従業員が外部に情報を共有する際に、組織の最も機密性の高いコンテンツを保護します。従業員がその情報を意図しない受信者に送信した場合でも、セキュアメールとセキュアファイル共有のファイルおよび受信者取り消し機能により、組織のPII、PHI、IPが常にプライベートに保たれます。
Kiteworksを使用することで、組織は以下のことも実現します：
- 統合 セキュアなコンテンツ通信チャネルを統合し、メール、ファイル共有、SFTP、MFT、ウェブフォームを含みます。これには、標準のメールクライアントをネイティブに拡張してシームレスなユーザーエクスペリエンスを促進し、これらのクライアントを通じて送信される機密コンテンツを含むすべてのメールを保護することが含まれます。
- 追跡 コンテンツ、メタデータ、ユーザー活動、システムイベントを追跡し、セキュリティオペレーションセンター（SOC）の効果を高め、第三者アクセスを報告し、規制コンプライアンス報告要件を容易に満たします。
- 制御 リスクプロファイルとユーザーロールに一致するコンテンツアクセスと機能ルールを制御します。集中管理を活用して、メール、ウェブフォーム、MFT、セキュアファイル共有のコンテンツを保護し、内部および外部の監査に対する包括的なガバナンスとコンプライアンスを実現します。
- セキュア コンテンツを保存中および転送中に暗号化し、シングルサインオン（SSO）、多要素認証（MFA）、アンチウイルス（AV）、高度な脅威対策（ATP）、データ損失防止（DLP）と統合して、誤送信のような機密情報の意図しない露出のリスクを軽減します。